보안 업데이트 2008-008/Mac OS X v10.5.6의 보안 콘텐츠에 관하여

이 문서에서는 소프트웨어 업데이트 환경설정 또는 Apple 다운로드 사이트에서 다운로드하여 설치할 수 있는 보안 업데이트 2008-008/Mac OS X v10.5.6의 보안 콘텐츠에 대해 설명합니다.

Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시 버전을 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.

Apple 제품 보안 PGP 키에 관한 자세한 내용은 'Apple 제품 보안 PGP 키 사용 방법'을 참조하십시오.

가능한 경우 CVE ID로 취약성에 대한 추가 정보를 확인할 수 있습니다.

다른 보안 업데이트에 대한 자세한 내용은 'Apple 보안 업데이트'를 참조하십시오.

보안 업데이트 2008-008/Mac OS X v10.5.6

• ATS

  CVE-ID: CVE-2008-4236

  대상: Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 악의적으로 제작된 내장 서체가 포함된 PDF 파일을 보거나 다운로드하면 서비스 거부가 발생할 수 있음

  설명: Apple Type Services 서버에서 PDF 파일에 내장된 서체를 처리할 때 무한 루프가 발생할 수 있습니다. 악의적으로 제작된 내장 서체가 포함된 PDF 파일을 보거나 다운로드하면 서비스 거부가 발생할 수 있습니다. 이 업데이트는 내장된 서체에 대한 유효성을 추가로 확인하는 방식으로 문제를 해결합니다. Mac OS X 10.5 이전 버전이 설치된 시스템은 이 문제의 영향을 받지 않습니다. 이 문제를 보고해 주신 Futurice Ltd.의 Michael Samarin 님과 Mikko Vihonen 님께 감사드립니다.

• BOM

  CVE-ID: CVE-2008-4217

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 악의적으로 제작된 CPIO 아카이브를 다운로드하거나 보면 임의 코드가 실행되거나 응용 프로그램이 예기치 않게 종료될 수 있음

  설명: BOM에서 CPIO 헤더를 처리할 때 발생하는 부호 여부 문제로 인해 스택 버퍼 오버플로우가 야기될 수 있습니다. 악의적으로 제작된 CPIO 아카이브를 다운로드하거나 보면 임의 코드가 실행되거나 응용 프로그램이 예기치 않게 종료될 수 있습니다. 이 업데이트는 CPIO 헤더에 대한 유효성을 추가로 확인하는 방식으로 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

• CoreGraphics

  CVE-ID: CVE-2008-3623

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 악의적으로 제작된 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

  설명: CoreGraphics 내의 색상 공간을 처리할 때 힙 버퍼 오버 플로우가 발생합니다. 악의적으로 제작된 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

• CoreServices

  CVE-ID: CVE-2008-3170

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 악의적으로 제작된 웹 사이트를 방문하면 사용자 자격 증명이 공개될 수 있음

  설명: Safari는 웹 사이트가 국가별 최상위 도메인에 대한 쿠키를 설정하도록 허용하므로 원격 공격자가 세션 고정 공격을 수행하고 사용자의 자격 증명을 가로챌 수 있습니다. 이 업데이트는 도메인 이름에 대한 유효성을 추가로 확인하는 방식으로 문제를 해결합니다. 이 문제를 보고해 주신 iCab.de의 Alexander Clauss 님께 감사드립니다.

• CoreTypes

  CVE-ID: CVE-2008-4234

  대상: Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 안전하지 않은 다운로드 콘텐츠를 실행하려고 시도해도 경고가 표시되지 않을 수 있음

  설명: Mac OS X은 잠재적으로 안전하지 않을 수 있는 파일을 표시하는 다운로드 유효성 확인 기능을 제공합니다. Safari 등의 응용 프로그램은 다운로드 유효성 확인을 사용하여 사용자가 잠재적으로 안전하지 않은 것으로 표시된 파일을 실행하기 전에 경고합니다. 이 업데이트에는 잠재적으로 안전하지 않은 유형의 목록이 추가되었습니다. 또한 실행 가능 권한이 있고 특정한 응용 프로그램과 연결되지 않은 파일에 대한 콘텐츠 유형도 추가되었습니다. 이러한 파일은 터미널에서 실행되고 해당 콘텐츠가 명령으로 실행되므로 잠재적으로 안전하지 않을 수 있습니다. 이러한 파일은 자동으로 실행되지는 않지만 수동으로 열면 임의 코드가 실행될 수 있습니다. 이 문제는 Mac OS X 10.5 이전 버전이 설치된 시스템에는 영향을 미치지 않습니다.

• Flash Player Plug-in

  CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: Adobe Flash Player 플러그인에 여러 가지 취약점이 존재함

  설명: Adobe Flash Player 플러그인에 여러 가지 문제가 존재하며, 이 중 가장 심각한 문제로 인해 악의적으로 제작된 웹 사이트를 볼 경우 임의 코드가 실행될 수 있습니다. 이러한 문제는 Flash Player 플러그인을 버전 9.0.151.0로 업데이트하여 해결되었습니다. 자세한 정보는 Adobe 웹 사이트에서 확인할 수 있습니다. http://www.adobe.com/support/security/bulletins/apsb08-20.html

• Kernel

  CVE-ID: CVE-2008-4218

  대상: Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 로컬 사용자가 시스템 권한을 얻을 수 있음

  설명: i386_set_ldt 및 i386_get_ldt 시스템 호출 시 정수 오버플로우 문제가 발생하며, 이로 인해 로컬 사용자가 시스템 권한으로 임의 코드를 실행할 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. PowerPC 시스템은 이러한 문제의 영향을 받지 않습니다. 이 문제를 보고해 주신 IOActive, Inc.의 Richard van Eeden 님께 감사드립니다.

• Kernel

  CVE-ID: CVE-2008-4219

  대상: Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: NFS 공유에서 동적 라이브러리를 연결하는 실행 파일을 실행하면 시스템이 예기치 않게 종료될 수 있음

  설명: NFS 공유에 있는 프로그램이 예외를 수신하면 무한 루프가 발생할 수 있습니다. 이 문제로 인해 시스템이 예기치 않게 종료될 수 있습니다. 이 업데이트는 향상된 예외 처리를 통해 문제를 해결합니다. 이 문제를 보고해 주신 Princeton University의 Ben Loer 님께 감사드립니다.

• Libsystem

  CVE-ID: CVE-2008-4220

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: inet_net_pton API를 사용하는 응용 프로그램이 임의 코드 실행 또는 예기치 않은 응용 프로그램 종료에 취약할 수 있음

  설명: Libsystem의 inet_net_pton API에 정수 오버플로우가 존재하며, 이로 인해 API를 사용하는 응용 프로그램이 예기치 않게 종료되거나 임의 코드를 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 API는 일반적으로 신뢰할 수 없는 데이터로 호출되지 않으며, 이 문제를 악용할 수 있는 사례는 알려져 있지 않습니다. 이 업데이트는 이 API를 사용하는 모든 응용 프로그램에 대한 잠재적인 공격을 완화하기 위해 제공되었습니다.

• Libsystem

  CVE-ID: CVE-2008-4221

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: strptime API를 사용하는 응용 프로그램이 임의 코드 실행 또는 예기치 않은 응용 프로그램 종료에 취약할 수 있음

  설명: Libsystem의 strptime API에 메모리 손상 문제가 존재합니다. 악의적으로 제작된 날짜 문자열을 구문 분석하면 임의 코드가 실행되거나 응용 프로그램이 예기치 않게 종료될 수 있습니다. 이 업데이트는 향상된 메모리 할당을 통해 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

• Libsystem

  CVE-ID: CVE-2008-1391

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: strfmon API를 사용하는 응용 프로그램이 예기치 않은 응용 프로그램 종료 또는 임의 코드 실행에 노출될 수 있음

  설명: Libsystem의 strfmon 구현 시 여러 정수 오버플로우가 발생합니다. 형식 문자열 인수의 특정 정수 필드에 큰 값을 사용하여 strfmon을 호출하는 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트는 향상된 범위 확인을 통해 문제를 해결합니다.

• Managed Client

  CVE-ID: CVE-2008-4237

  대상: Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 관리형 화면 보호기 설정이 적용되지 않음

  설명: 관리형 클라이언트 시스템의 소프트웨어가 호스트별 구성 정보를 설치하는 메서드에서 시스템을 올바르게 식별하지 못할 때가 있습니다. 잘못 식별된 시스템에서는 화면 보호기 잠금을 포함하여 호스트별 설정이 적용되지 않습니다. 이 업데이트는 관리형 클라이언트가 올바른 시스템 식별을 사용하도록 하는 방식으로 문제를 해결합니다. 이더넷이 내장된 시스템은 이 문제의 영향을 받지 않습니다. 이 문제를 보고해 주신 ESRI의 John Barnes 님과 Tamman Technologies, Inc.의 Trevor Lalish-Menagh 님께 감사드립니다.

• network_cmds

  CVE-ID: CVE-2008-4222

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: 인터넷 공유가 활성화되어 있는 경우 원격 공격자가 서비스 거부를 야기할 수 있음

  설명: natd에서 TCP 패킷을 처리할 때 무한 루프가 발생할 수 있습니다. 인터넷 공유가 활성화되어 있는 경우 원격 공격자가 악의적으로 제작된 TCP 패킷을 보내 서비스 거부를 야기할 수 있습니다. 이 업데이트는 TCP 패킷의 유효성을 추가로 확인하는 방식으로 문제를 해결합니다. 이 문제를 보고해 주신 Ohmantics의 Alex Rosenberg 님과 Paizo Publishing의 Gary Teter 님께 감사드립니다.

• Podcast Producer

  CVE-ID: CVE-2008-4223

  대상: Mac OS X Server v10.5~v10.5.5

  영향: 원격 공격자가 Podcast Producer의 관리 기능에 접근할 수 있음

  설명: Podcast Producer 서버에 인증 우회 문제가 존재하며, 이로 인해 승인되지 않은 사용자가 서버의 관리 기능에 접근할 수 있습니다. 이 업데이트는 향상된 접근 제한 처리를 통해 문제를 해결합니다. Podcast Producer는 Mac OS X Server v10.5에서 도입되었습니다.

• UDF

  CVE-ID: CVE-2008-4224

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.5, Mac OS X Server v10.5~v10.5.5

  영향: ISO 파일을 열면 시스템이 예기치 않게 종료될 수 있음

  설명: 잘못된 형식의 UDF 볼륨을 처리할 때 입력 유효성 확인 문제가 발생합니다. 악의적으로 제작된 ISO 파일을 열면 시스템이 예기치 않게 종료될 수 있습니다. 이 업데이트는 향상된 입력 유효성 확인을 통해 문제를 해결합니다. 이 문제를 보고해 주신 PCAX Solutions의 Mauro Notarianni 님께 감사드립니다.